用户与角色

谁能看哪些项目、能做什么。角色只表达「管理员」和「能看哪些项目」两件事，不做按钮级权限。

两类角色

角色	能做什么
内置的 admin	看全部项目；管理用户、角色、项目、系统配置、分片；看操作日志；自定义 SQL；改元数据；建 A/B 实验
其它角色	看勾选了的项目：Stats 和 Agent（只读分析）、项目列表与接入检查（只读）；管理自己的接口密钥、书签、看板

一个人可以绑定多个角色，能看的项目取并集；只要有 admin 就是管理员。管理员看全部项目，不需要逐个勾选。

同一套可见规则用在所有地方：Stats、Agent、OpenAPI、看板。没有某个项目的权限，在哪里访问它都是 40301。

用户

「系统 → 用户」，只有管理员能进：

evstats

操作	说明
新建	用户名、显示名、邮箱、初始密码、角色
编辑	显示名、邮箱、角色、是否演示用户
重置密码	管理员直接设新密码。重置后这个人的其它登录全部失效
停用 / 启用	停用后立即不能登录，他的接口密钥也一起失效
删除	软删除

用户名 3～32 个字符，不分大小写；密码不限长度、不限字符，空格会自动去掉。

最后一名管理员受保护：不能删除、停用最后一个管理员，也不能卸掉自己唯一的管理员身份。相关按钮会禁用并说明原因。管理员不能同时是演示用户。

角色

「系统 → 角色」：左侧是角色列表，右侧编辑名称、备注，勾选项目（可以搜索、全选），并看到绑定了哪些人。内置的 admin 只读，写明「管理员可以访问全部项目」。

撤掉一个角色上的项目后，相关的人下一次请求就没有权限了：页面、Agent 对话、OpenAPI 都一样，已经打开的 Agent 流也会结束。

登录

• 登录要填账号、密码和图片验证码。验证码由服务端生成，2 分钟有效，只能用一次。
• 账号或密码错误时提示固定是「账号或密码错误」，不告诉你是哪一个错了。
• 同一用户名、同一 IP 10 分钟内失败 10 次，暂时锁住（42901），登录成功后清零。
• 登录状态是 HttpOnly Cookie，页面脚本读不到，默认 7 天，使用中自动续期。退出、改密码、被重置密码后立即失效，所有进程同时生效。

找回密码

登录页的「忘记密码」：填邮箱和验证码，邮件里是一个 1 小时内有效、只能用一次的链接。

• 需要管理员先配好 SMTP 和 site.public_url（「系统配置 → 邮件」「系统配置 → 站点」）。没配时页面说明「管理员尚未配置发信」。
• 无论邮箱是否注册，页面都显示同一句话，避免被用来探测账号。
• 同一用户 1 小时内最多发 3 封。
• 邮件有中文和英文两套，按这个人的界面语言选择。
• 链接只用 site.public_url 拼接，不受请求里 Host 头的影响。

个人设置

右上角头像 → 个人设置：

页面	内容
资料	显示名、邮箱、界面语言（简体中文 / English）、外观（跟随系统 / 浅色 / 深色）、修改密码
接口密钥	自己的接口密钥：创建、停用、删除，见 OpenAPI

演示用户只能改语言和外观，看不到接口密钥页。